Veri İşleme Sözleşmesi

1. Kapsam ve Roller

Bu Veri İşleme Sözleşmesi ("DPA"), Müşterinin Hizmetleri bir işletme olarak kullandığı ve Rediacc'ın Müşteri Kişisel Verilerini Müşteri adına işlediği durumlarda, Rediacc OÜ ("Rediacc", "İşleyen") ile Müşteri arasındaki Hizmet Koşullarının parçasıdır. Hizmet Koşullarında tanımlanan terimler burada da aynı anlama gelir. Bu sayfa İngilizce yazılmıştır. Çeviriler yalnızca kolaylık sağlamak amacıyla sunulur; bir çeviri İngilizce sürümden farklıysa İngilizce sürüm geçerlidir.

Müşteri Kişisel Verileri bakımından Müşteri veri sorumlusudur (veya kendi veri sorumlusu adına hareket eden bir işleyendir), Rediacc ise işleyendir (veya alt işleyendir). Hesap, faturalandırma ve kabul kayıtları ile Telemetri Verileri bakımından Rediacc, Gizlilik Politikasında açıklandığı şekilde bağımsız bir veri sorumlusudur ve bu DPA söz konusu işlemeye uygulanmaz.

Müşterinin Makinelerindeki Müşteri Verileri Rediacc tarafından işlenmez. Şifreli yapılandırma depolama ve barındırılan yedekler Rediacc'ın sahip olmadığı anahtarlarla şifrelenir; bu nedenle Rediacc bu veri bloklarını saklar ancak içeriklerini okuyamaz.

2. Tanımlar

• "Veri Koruma Yasaları", AB Genel Veri Koruma Tüzüğünü (Tüzük (AB) 2016/679, "GDPR"), Birleşik Krallık GDPR'sini ve bu DPA kapsamındaki işlemeye uygulanan diğer tüm veri koruma yasalarını ifade eder.
• "Müşteri Kişisel Verileri", Rediacc'ın Platformu sunarken Müşteri adına işlediği kişisel veriler anlamına gelir; örneğin Müşterinin davet ettiği Yetkili Kullanıcıların ve ekip üyelerinin adları ile e-posta adresleri ve Müşterinin Platformda sakladığı şifreli veriler.
• "Kişisel Veri İhlali", "işleme", "veri sorumlusu", "işleyen" ve "veri sahibi", GDPR'da verilen anlamlara sahiptir.
• "SCC", Avrupa Komisyonunun (AB) 2021/914 sayılı Uygulama Kararıyla onaylanan standart sözleşme hükümleri anlamına gelir.
• "Alt İşleyen", Rediacc tarafından Müşteri Kişisel Verilerini işlemek üzere görevlendirilen üçüncü taraf anlamına gelir.

3. Talimatlar Doğrultusunda İşleme

Rediacc, hukukun aksini gerektirdiği haller dışında, Müşteri Kişisel Verilerini yalnızca Müşterinin belgelenmiş talimatları doğrultusunda işler; bu talimatlar Hizmet Koşulları, bu DPA ve Müşterinin Hizmetleri kullanımı ve yapılandırmasıdır. Hukukun aksini gerektirdiği hallerde, hukuk yasaklamıyorsa Rediacc işlemeden önce Müşteriyi bilgilendirir. Rediacc, bir talimatın Veri Koruma Yasalarını ihlal ettiği kanaatindeyse Müşteriyi bilgilendirir.

4. İşlemenin Ayrıntıları

• Konu ve amaç: Hesap ve ekip yönetimi, lisans verme, şifreli yapılandırma depolama, barındırılan yedek depolama ve destek dahil Platformun sunulması
• Süre: Hizmet Koşullarının süresi ve Bölüm 11'deki silme süresi
• İşlemenin niteliği: toplama, saklama, iletme, erişme ve silme
• Veri sahibi kategorileri: Müşterinin Yetkili Kullanıcıları, davet edilen ekip üyeleri ve iş ortağı iletişim kişileri
• Kişisel veri kategorileri: adlar, e-posta adresleri, kuruluş ve rol, kimlik doğrulama verileri (parola karmaları, geçiş anahtarı (passkey) açık anahtarları), oturumların ağ adresleri ve user agent bilgileri ile Müşterinin Platformda sakladığı şifreli verilerin içindeki her türlü kişisel veri
• Özel kategoriler: öngörülmemektedir; Müşteri, özel kategorilerdeki verileri Platformda şifrelemeden saklamamalıdır

5. Gizlilik

Rediacc, Müşteri Kişisel Verilerini işlemeye yetkili her kişinin bir gizlilik yükümlülüğü ile bağlı olmasını sağlar.

6. Güvenlik

Rediacc, GDPR madde 32 uyarınca uygun teknik ve organizasyonel önlemleri uygular; bunlar arasında şunlar bulunur:

• aktarım sırasında (TLS 1.2 veya üzeri) ve beklemede şifreleme ile yapılandırma depolama ve barındırılan yedeklerin Rediacc'ın sahip olmadığı anahtarlarla istemci tarafında şifrelenmesi
• üretim sistemlerine erişimin çok faktörlü kimlik doğrulamayla yetkili personelle sınırlandırılması
• müşteri verilerinin mantıksal olarak ayrılması ve bölgesel veri depolama
• üretim sistemlerinin günlüğe alınması ve izlenmesi ile güvenlik önlemlerinin düzenli testi

7. Alt İşleyenler

Müşteri, Rediacc'ın Alt İşleyen görevlendirmesine izin verir. Rediacc, her Alt İşleyene bu DPA'dan daha az koruyucu olmayan veri koruma yükümlülükleri getirir ve Alt İşleyenlerinin performansından sorumlu kalır. Mevcut Alt İşleyenler şunlardır:

• Cloudflare, Inc. (Amerika Birleşik Devletleri; küresel ağ): hesap portalı ve API'nin barındırılması (Workers), hesap veritabanı (D1), barındırılan yedek ve nesne depolama (R2), içerik dağıtımı ve DNS ile formlarda bot koruması (Turnstile)
• Amazon Web Services, Inc. (Müşterinin hesap bölgesine hizmet veren AWS bölgesindeki Amazon Simple Email Service): oturum açma bağlantıları, bildirimler ve faturalar gibi işlemsel e-postaların teslimi
• Stripe, Inc. ve iştirakleri (Amerika Birleşik Devletleri ve İrlanda): ücretli Abonelikler için ödeme işleme, abonelik faturalandırması, fatura düzenleme ve vergi hesaplama
• Hostinger (Avrupa Birliği'ndeki sanal sunucular): Telemetri Verilerini ve hizmet günlüklerini alan telemetri ve gözlemlenebilirlik uç noktasının (otlp.rediacc.io) barındırılması

Rediacc, bir Alt İşleyen eklemeden veya değiştirmeden en az otuz (30) gün önce bu sayfayı güncelleyerek ve Hesap e-postasını bilgilendirerek bildirimde bulunur. Müşteri bu süre içinde makul veri koruma gerekçeleriyle itiraz edebilir. Taraflar itirazı çözemezse Müşteri etkilenen Hizmetleri sonlandırabilir ve fesihten sonraki döneme ait ödenmiş ücretlerin iadesini alabilir.

Web sitesi analitiği (Plausible) Müşteri Kişisel Verilerini işlemez ve Gizlilik Politikası kapsamındadır.

8. Uluslararası Aktarımlar

Müşteri Kişisel Verileri, Avrupa Ekonomik Alanı dışındaki ve yeterlilik kararı bulunmayan bir ülkeye aktarıldığında SCC, atıf yoluyla bu DPA'ya dahil edilir: Müşteri veri sorumlusuysa İkinci Modül (veri sorumlusundan işleyene), Müşteri işleyense Üçüncü Modül (işleyenden işleyene). SCC bakımından: isteğe bağlı katılım maddesi (Madde 7) uygulanır; Madde 9(a) Seçenek 2 (genel yetkilendirme), Bölüm 7'deki bildirim süresiyle uygulanır; Madde 11'deki isteğe bağlı ifade uygulanmaz; Madde 17 ve 18'de seçilen hukuk ve mahkemeler şunlardır: Estonya; Ek I ve II, bu DPA'nın Bölüm 1, 4 ve 6'sı ile, Ek III ise Bölüm 7'si ile tamamlanır.

GDPR'ın Birleşik Krallık versiyonuna tabi aktarımlar için SCC ile birlikte Birleşik Krallık Bilgi Komiseri tarafından yayımlanan Uluslararası Veri Aktarımı Eki (International Data Transfer Addendum) uygulanır. Rediacc, bu çerçeveye göre sertifikalı Alt İşleyenler bakımından AB-ABD Veri Gizliliği Çerçevesine (EU-US Data Privacy Framework) dayanır.

9. Veri Sahibi Talepleri ve Yardım

Rediacc, bir veri sahibinden gelen Müşteri Kişisel Verilerine ilişkin her talebi derhal Müşteriye iletir ve Müşterinin talimatları dışında kendisi yanıt vermez. İşlemenin niteliğini dikkate alarak Rediacc, Müşteriye bu tür taleplere yanıt vermede ve veri koruma etki değerlendirmeleri ile ön istişareler dahil GDPR madde 32 ila 36 kapsamındaki yükümlülüklerini yerine getirmede yardımcı olur.

10. Kişisel Veri İhlali

Rediacc, Müşteri Kişisel Verilerini etkileyen bir Kişisel Veri İhlalinden haberdar olduktan sonra gereksiz gecikme olmaksızın ve her halükârda yetmiş iki (72) saat içinde Müşteriyi bilgilendirir. Bildirim, bilinen ölçüde ihlalin niteliğini, ilgili veri sahiplerinin ve kayıtların kategorilerini ve yaklaşık sayısını, olası sonuçları ve alınan veya önerilen önlemleri açıklar. Rediacc ihlali kontrol altına almak ve gidermek için makul adımlar atar.

11. Silme veya İade

Hizmetler sona erdiğinde Müşteri, Müşteri Kişisel Verilerini otuz (30) gün içinde dışa aktarabilir. Hukuk Rediacc'ın verileri saklamasını gerektirmedikçe Rediacc daha sonra Müşteri Kişisel Verilerini aktif sistemlerden ve doksan (90) gün içinde yedeklerden siler.

12. Denetimler

Rediacc, GDPR madde 28'e uyumu göstermek için gerekli bilgileri, başlıca makul güvenlik anketlerine yazılı yanıtlar ile Rediacc'ın ve Alt İşleyenlerinin mevcut denetim raporları ve sertifikaları aracılığıyla Müşteriye sunar. Bu bilgiler yetersizse veya bir denetim otoritesi gerektiriyorsa Müşteri, masrafı kendisine ait olmak üzere, otuz (30) gün önceden bildirimle, mesai saatleri içinde, yılda en fazla bir kez, gizlilik yükümlülükleri altında ve Hizmetleri veya diğer müşterileri aksatmayacak şekilde denetim yapabilir.

13. Sorumluluk ve Öncelik

Veri Koruma Yasalarının izin vermediği haller dışında, her tarafın bu DPA kapsamındaki sorumluluğu Hizmet Koşullarındaki sınırlamalara tabidir. Bu DPA ile Hizmet Koşulları çelişirse, Müşteri Kişisel Verilerinin işlenmesinde bu DPA geçerlidir; SCC ile bu DPA çelişirse SCC geçerlidir.

14. Bu DPA'nın Kaynağı

Bu DPA'nın bazı bölümleri, Common Paper, Inc. tarafından Creative Commons Attribution 4.0 International lisansı (CC BY 4.0) altında yayımlanan Common Paper Data Processing Agreement Standard Terms Version 1.1'den (commonpaper.com/standards/data-processing-agreement/1.1) uyarlanmıştır. Metin değiştirilmiştir: yeniden yapılandırılmış, kısaltılmış ve Hizmetlere uyarlanmıştır. Common Paper, Inc. bu DPA'yı onaylamaz.